290 millions de dollars volés : Kelp détrône Drift en subissant le pire hack crypto de 2026
Après une attaque attribuée aux hackers nord-coréens, le protocole de restaking essuie un hack de 290 millions de dollars, s'inscrivant comme le pire de 2026. Que s'est-il passé ?
Kelp subit un hack de 290 millions de dollars
Ce qui devait arriver arriva. Dès leur émergence, les protocoles de restaking ont soulevé des questions sur le risque de contagions qu’ils pouvaient faire courir sur le reste de l’écosystème de la finance décentralisée (DeFi), en cas de défaillance. KelpDAO nous en offre aujourd’hui un exemple, après un hack à 290 millions de dollars impliquant son rsETH le 18 avril.
En bref, le restaking permet de déposer une preuve de staking, comme du stETH, pour créer un autre token (ici le rsETH), afin de continuer à percevoir des rendements tout en pouvant utiliser le token minter dans la DeFi.
Ainsi, l’attaque dont il est question porte sur 290 millions de dollars, ce qui vient détrôner Drift pour le record peu glorieux de pire hack de 2026.
🔎 Comment limiter le risque de hack ?
Encore une fois, le groupe de hacker nord-coréen Lazarus serait en cause, au travers d’une stratégie sophistiquée visant à compromettre un réseau de vérification décentralisée (DVN) de LayerZero utilisé par Kelp. En bref, les DVN sont « des entités indépendantes chargées de vérifier l'intégrité des messages inter-chaînes ». De son côté, LayerZero recommande d’utiliser plusieurs DVN pour éviter un point de défaillance unique, une consigne qui n’aurait pas été respectée par Kelp.
Dans son attaque, le hacker a identifié la liste de RPC (Remote Procedure Call) pour en compromettre une partie, puis a détourné l’attention des RPC sains grâce à une attaque DDoS, afin de les saturer et obliger le DVN de Kelp à ne recourir qu’aux RCP compromis. Durant l’attaque, le DVN a donc validé des messages compromis, permettant à des instructions malintentionnées de passer les contrôles.
Depuis l’annonce de l’attaque, Kelp n’a pas recommuniqué sur son profil X pour mettre à jour la situation.
Pour sa part, LayerZero a affirmé que « toutes les applications disposant d'une configuration multi-DVN » pouvaient reprendre leurs activités, tandis que LayerZero Labs ne signera plus de message « provenant d'applications utilisant une configuration 1/1 », affirmant ainsi prendre contact avec les acteurs concernés pour les inciter à revoir leur modèle.
👉 Dans l'actualité également — ZachXBT fait s’effondrer cette cryptomonnaie en dévoilant une manipulation
Depuis le hack, le prix du rsETH ne suit désormais plus le cours de l’ETH, et s’est effondré à 1 916 dollars, en baisse de 21,6 % sur 24 heures. Dans un prochain article, nous verrons en quoi la situation peut poser problème pour toute la finance décentralisée, en particulier avec un cas concret concernant le protocole de prêts et d'emprunts Aave, qui a déjà gelé les marchés du rsETH.
Protégez vos cryptos avec un Ledger dès 49 € (10 € en Bitcoin offerts)Source : X
La Newsletter crypto n°1 🍞
Recevez un récapitulatif de l'actualité crypto chaque jour par mail 👌
Certains contenus ou liens dans cet article peuvent être de la publicité ou de l'affiliation. L'investissement dans les actifs numériques présente un risque de perte en capital totale ou partielle. Les performances passées ne préjugent pas des performances futures. N'investissez que ce que vous êtes prêts à perdre.
